Come si inseriscono i dati biometrici nel GDPR?

Si è acceso un nuovo dibattito sulla biometria

Biometria e Privacy sono stati a lungo oggetto di discussione, anche prima che la GDPR è entrato in vigore.

Nel 1997, un professore di diritto statunitense di nome John D. Woodward scrisse un articolo rivoluzionario, pubblicato su IEEE Proceedings, intitolato “Biometrics, Freund der” Privacy o nemico del Privacy?

Woodward ha sostenuto che la biometria è un amico della Privacy potrebbe essere, poiché offriva un mezzo di identificazione che dipendeva dalle caratteristiche uniche di un singolo elemento di un comparatore esterno, come una password. L’utente non può dimenticare il proprio volto, la propria impronta digitale o la propria retina e lasciarli a casa, ma può dimenticare una password o lasciare il badge di accesso sul comò.

Una password può essere indovinata o ottenuta tramite spoofing, un badge può essere rubato, ma duplicare un'impronta digitale o una retina è una sfida. L'argomentazione è in qualche modo valida anche oggi, sebbene Woodward non avesse a che fare con i problemi di sicurezza che esistono oggi nella protezione dei dati biometrici e non avesse a che fare con l'intelligenza artificiale, che in alcune circostanze può effettuare identificazioni accurate sulla base di dati incompleti o circostanziali. Inoltre, i casi d'uso a cui aveva fatto riferimento nella sua argomentazione erano tutti casi d'uso di autenticazione, non di identificazione. Esamineremo le differenze. Infine, non c'è stato alcun GDPR, in modo che i dati biometrici GDPRle questioni relative a ciò non influenzassero il suo modo di pensare.

Identificazione e autenticazione con la biometria

Woodward ha definito due casi d'uso per i dati biometrici: l'identificazione e l'autenticazione. Per quanto riguarda l’identificazione, l’identità di un soggetto non è stata accertata. Il sistema acquisisce dati visivi ed estrae le caratteristiche rilevanti relative alla persona da valutare. Il sistema confronta quindi i dati relativi alle caratteristiche con le informazioni note e cerca di stabilire una corrispondenza con un certo grado di certezza statistica.

Tutta questa attività può avvenire di nascosto e senza il consenso dell’utente. Poiché il volto umano è solitamente esposto e, nel suo insieme, è unico, il riconoscimento facciale è il metodo di identificazione più comunemente utilizzato. Con l’autenticazione, l’utente fornisce il proprio consenso e cede volontariamente un campione di dati biometrici, ad esempio un'immagine dell'impronta digitale, una scansione della retina o simili; il sistema utilizza quindi queste informazioni per verificare l'identità di un utente prima di concedergli l'accesso a una struttura o a informazioni potenzialmente altamente protette.

In sostanza, l’autenticazione risponde alla domanda “Sei chi dici di essere?”. L’identificazione risponde alla domanda “Chi sei?”.

Applicazioni dei dati biometrici

Le applicazioni che utilizzano dati biometrici per l’autenticazione sono molto diffuse, soprattutto nei telefoni cellulari. In questi casi, l’utente parte dal presupposto che i dati siano memorizzati sul cellulare e non vengano duplicati altrove senza il suo consenso. In tali circostanze, è l’utente a controllare i dati. Nei casi in cui un utente acceda a un conto bancario online utilizzando dati biometrici, tali dati vengono memorizzati sui server della banca ed è la banca a controllarli. Un utente di cellulare può condividere i dati biometrici memorizzati con un operatore di telefonia mobile per attivare servizi online.

Autenticazione

Applicazione: Chi sei?
Consenso: Sì
Controllo dei dati: utente o fornitore o entrambi
Tecnologia: scansione delle impronte digitali, scansione della retina

Identificazione

Applicazione: Sei chi dici di essere?
Consenso: No
Controllo dei dati: terzi
Tecnologia: riconoscimento facciale

I casi d'uso relativi all'identificazione sono di competenza dei governi, che mirano a garantire una maggiore sicurezza. L'acquisizione di immagini e il riconoscimento facciale vengono utilizzati negli aeroporti internazionali di tutto il mondo per facilitare l'identificazione di criminali noti o di attivisti stranieri.

Il presupposto è che i tratti del viso dei cittadini comuni vengano scansionati, confrontati con i dati già noti e, in assenza di corrispondenza, i dati vengano eliminati. Possono sorgere problemi quando i dati relativi a un cittadino non vengono scartati, spesso con le migliori intenzioni, poiché tale persona potrebbe essere identificata in un secondo momento come criminale e sapere dove si è recata sarebbe molto utile.

Si tratta di un terreno scivoloso: l’archiviazione dei dati è economica, le videocamere digitali dal prezzo contenuto offrono prestazioni eccellenti e possono essere installate in modalità wireless praticamente ovunque. La tentazione per gli esperti di sicurezza di registrare tutto ciò che è possibile con il maggior numero di telecamere che possono permettersi è molto forte.

I dati biometrici rientrano nel GDPR?

GDPR e i dati biometrici sono gestiti in base alla normativa e alle regole stabilite da ciascuna autorità di protezione dei dati (DPA). Il GDPR impedisce esplicitamente l'uso di dati biometrici per l'autenticazione o l'identificazione, ma ci sono diverse eccezioni menzionate nell'articolo 9(2). Per l'autenticazione, l'applicazione deve richiedere un elevato livello di affidabilità che non può essere raggiunto con altre tecnologie. I dati biometrici delle persone sono considerati sensibili Dati personali e richiedono quindi un livello di protezione più elevato.

Diversi paesi hanno assunto posizioni specifiche in merito all’identificazione biometrica; ad esempio, la CNIL francese ha recentemente pubblicato un documento di posizione in cui, pur riconoscendo la necessità che il governo garantisca la sicurezza delle frontiere, si è rifiutata di stabilire norme rigide, preferendo valutare la questione caso per caso.

• In base a tali disposizioni, la necessità di tali dispositivi deve essere valutata caso per caso: il riconoscimento facciale non può essere utilizzato senza una specifica esigenza volta a garantire un elevato livello di affidabilità nella verifica dell’identità delle persone. Tali testi prescrivono inoltre che siano garantite sia la proporzionalità dei mezzi impiegati sia la tutela specifica dei minori. Essi richiedono che le persone siano al centro dei sistemi, ad esempio ottenendo il loro consenso o assicurando che abbiano il controllo sui propri dati. Applicando questi principi, recentemente ribaditi a livello europeo, la CNIL ha già avuto modo di autorizzare in linea di principio determinati utilizzi, disciplinandoli al contempo in modo concreto (controlli alle frontiere negli aeroporti), e di negarne altri (controllo dell’accesso degli studenti nelle scuole).

La CNIL ha inoltre messo in guardia le aziende dal promuovere applicazioni sperimentali o in fase di sperimentazione con l'unico obiettivo di familiarizzare il pubblico con tali tecnologie e ottenere il suo consenso tacito; tali iniziative non saranno autorizzate dalla CNIL.

Il Garante italiano ha pubblicato nel suo sito web Linee guida per il 2014 ha adottato un approccio diverso, concentrandosi sul metodo di raccolta piuttosto che sull'uso e scegliendo di definire i sistemi di raccolta biometrica passivi e interattivi:

• I sistemi biometrici sono definiti interattivi o partecipativi se prevedono il coinvolgimento della persona interessata e la obbligano a collaborare nella fase di raccolta dei dati biometrici, ad esempio durante la scansione della retina o l'apposizione della firma autografa. Al contrario, i sistemi passivi raccolgono i dati biometrici senza che l'interessato sia coinvolto nella fase di raccolta dei dati. colpiti persona li percepisce o li riconosce, ad esempio nel caso di registrazioni di immagini del volto o di registrazioni vocali che vengono registrate senza che la persona interessata ne sia consapevole.

Questo è rimasto sostanzialmente invariato dal 2014, anche se un decreto legislativo (solo italiano) prevedeva l'introduzione di nuove disposizioni ogni due anni (a partire dal 2018), che Linee guida in linea con l'uso delle nuove tecnologie.
La Germania non dispone di un'autorità centrale per la protezione dei dati. La responsabilità spetta alle organizzazioni statali, che sono 16.

Risoluzione del dibattito sulla biometria

Il dibattito sull’uso dei dati biometrici a fini di identificazione o autenticazione in un contesto incentrato sulla protezione dei dati è in corso da oltre 20 anni. La constatazione che il dibattito riguarda in realtà due casi d’uso distinti contribuirà probabilmente in modo significativo al raggiungimento di un certo consenso e di una comprensione reciproca. Il caso dell’identificazione garantisce quasi certamente che le informazioni vengano raccolte senza il consenso esplicito dell’individuo. D’altra parte, esistono molti casi d’uso per l’autenticazione che richiedono il consenso e la partecipazione attiva dell’individuo, e quest’ultimo beneficia spesso di un accesso più affidabile e di una maggiore sicurezza. Sebbene si ritenga che le forze dell’ordine a livello nazionale abbiano un bisogno urgente dell’identificazione biometrica, il suo utilizzo da parte di altri soggetti potrebbe essere superfluo, qualora fossero accettabili approcci meno invasivi.

Risorse:

• Biometrics, privacy’s friend or privacy’s foe: semanticscholar.org/paper/Biometrics%3A-privacy’s-foe-or-privacy’s-friend-Woodward/45db09c52035fcee984525397b56d8b5c9b80b57
• Documento di sintesi: cnil.fr/en/facial-recognition-debate-living-challenges
• Linee guida 2014: garanteprivacy.it/documents/10160/0/GUIDELINES+ON+BIOMETRIC+ RECOGNITION.pdf/3ac0d4ff-7575-4f5e-a3fa-b894ab7cf517?version=1.1